Mission SOC 10 — Vol de données par un employé

Deux alertes de sévérité élevée sur le partage RH (restreint) et le proxy. Aucune règle d'accès n'est violée : il faut prouver l'intention par le comportement. Tables : file_events, proxy (envois sortants), share_permissions.

1. Lectures par utilisateur sur RH : colonnes user, lectures
2. Compte au comportement anormal → answer compte <user>, nombre de fichiers lus → answer fichiers <n>
3. Vers quel domaine a-t-il envoyé des données ensuite ? → answer destination <domaine>
4. Volume total envoyé vers ce domaine, en Mo entiers (sum(bytes_out) / 1048576) → answer volume_mo <n>
5. Ce compte avait-il un droit d'accès au partage RH ? → answer droit <oui|non>
6. Qualification : la réponse relève-t-elle d'un retrait de permission excessive ou d'une procédure RH / juridique ? → answer reponse <permission|rh>